当前位置:首页 > 未分类 > 正文内容

创建私有CA,然后用该CA给证书进行签名

tianya4个月前 (10-22)未分类183

自建CA证书

实验环境:

  • 操作系统:CentOS 7

  • Apache版本:httpd

  • php版本:php7

检查OpenSSL,如果版本低于1.0.1f 建议升级,因为1.0.1f版本之下的OpenSSL有一个Heartbleed漏洞。
版本查看:$openssl version
版本更新:$sudo yum update openssl

首先建立myCA目录用于存放自建CA的相关信息:

cd && mkdir -p myCA/signedcerts && mkdir myCA/private && cd myCA

myCA用于存放 CA 根证书,证书数据库,以及后续服务器生成的证书,密钥以及请求。
signedcerts保存签名证书的 copy,private包含私钥。

之后配置myCA相关参数,在myCA目录下进行:

echo '01'>serial && touch index.txt

然后创建 caconfig.cnf 文件(自建CA的配置文件):

vim ~/myCA/caconfig.cnf

caconfig.cnf文件内容如下:

# My sample caconfig.cnf file.## Default configuration to use when one is not provided on the command line.#[ ca ]
default_ca      = local_ca### Default location of directories and files needed to generate certificates.#[ local_ca ]
dir             = /home/<username>/myCA

certificate     = $dir/cacert.pem
database        = $dir/index.txt
new_certs_dir   = $dir/signedcerts
private_key     = $dir/private/cakey.pem
serial          = $dir/serial#       ## Default expiration and encryption policies for certificates.#default_crl_days        = 365
default_days            = 1825
default_md              = SHA256#       policy          = local_ca_policy
x509_extensions = local_ca_extensions#       ## Default policy to use when generating server certificates.  The following# fields must be defined in the server certificate.#[ local_ca_policy ]
commonName              = supplied
stateOrProvinceName     = supplied
countryName             = supplied
emailAddress            = supplied
organizationName        = supplied
organizationalUnitName  = supplied#       ## x509 extensions to use when generating server certificates.#[ local_ca_extensions ]
subjectAltName          = DNS:localhost
basicConstraints        = CA:falsensCertType              = server#       ## The default root certificate generation policy.#[ req ]
default_bits    = 2048
default_keyfile = /home/<username>/myCA/private/cakey.pem

default_md      = SHA256#       prompt                  = no
distinguished_name      = root_ca_distinguished_name
x509_extensions         = root_ca_extensions### Root Certificate Authority distinguished name.  Change these fields to match# your local environment!#[ root_ca_distinguished_name ]
commonName              = MyOwn Root Certificate Authority # CA机构名stateOrProvinceName     = JS                               # CA所在省份countryName             = CN                               # CA所在国家(仅限2个字符)emailAddress            = XXXX@XXX.com                     # 邮箱organizationName        = XXX                              # organizationalUnitName  = XXX                              # #       [ root_ca_extensions ]
basicConstraints        = CA:true

其中dir和default_keyfile的路径需要改成自己的username

生成 CA 根证书和密钥:

export OPENSSL_CONF=~/myCA/caconfig.cnf       #该命令用于给环境变量 OPENSSL_CONF 赋值为caconfig.cnf。openssl req -x509 -newkey rsa:2048 -out cacert.pem -outform PEM -days 1825             # 生成 CA 根证书和密钥

该步骤需要用户设置一个密码,请牢记。

以上步骤生成了 CA 自签名根证书,和 RSA 公/私密钥对,证书的格式是 PEM,有效期是1825天。

/myCA/cacert.pem: CA 根证书
/myCA/private/cakey.pem: CA 私钥

生成服务器配置文件exampleserver.cnf:

vim ~/myCA/exampleserver.cnf

exampleserver.cnf文件内容如下:

## exampleserver.cnf#[ req ]
prompt             = no
distinguished_name = server_distinguished_name

[ server_distinguished_name ]
commonName              = localhost          # 服务器域名stateOrProvinceName     = JS                 # 服务器所在省份countryName             = CN                 # 服务器所在国家(仅限2个字符)emailAddress            = XXXX@XXX.com       # 邮箱organizationName        = XXX                # organizationalUnitName  = XXX                #

生成服务器证书和密钥:

export OPENSSL_CONF=~/myCA/exampleserver.cnf   # 该命令设置环境变量 OPENSSL_CONF,使得 openssl 更换配置文件。openssl req -newkey rsa:1024 -keyout tempkey.pem -keyform PEM -out tempreq.pem -outform PEM

同样的,需要设置密码。

之后,有2种对临时密钥的操作,选择其一即可:
1.将临时私钥转换为 unencrypted key,即密钥不加密状态:

penssl rsa -in tempkey.pem -out server_key.pem

需要输入密码短语。

2.如果希望将 key 保持为加密状态,直接改名:

mv tempkey.pem server_key.pem

两者的区别是,第二种需要在服务器启动时输入私钥的密码,否则会导致服务器启动失败,但第二种安全性高于第一种,可以更好的保护密钥。

使用 CA key 对服务器证书签名:

export OPENSSL_CONF=~/myCA/caconfig.cnf
openssl ca -in tempreq.pem -out server_crt.pem

删除临时证书和密钥:

rm -f tempkey.pem && rm -f tempreq.pem

现在,自签名的服务器证书和密钥对便产生了:

  • server_crt.pem : 服务器证书文件

  • server_key.pem : 服务器密钥文件


具体生成CA文件已存入upyun

来源:https://www.cnblogs.com/ustca/p/12060580.html

扫描二维码至手机访问

扫描二维码推送至手机访问。

版权声明:本文由天涯博客发布,如需转载请注明出处。

转载请注明出处:https://zhuimore.com/?id=3

分享给朋友:

相关文章

JsFuck

$word = [    '([][[]]+[])' => 'undefined',    '([]+{})...

PHP8.0宝塔面板安装event扩展

yum install libevent -y wget https://pecl.php.net/get/event-3.0.2r1.tgz tar -zxvf event-3.0.2r1....

Teambition云盘直链解析平台 支持多用户,支持永久直链,支持列目录

Teambition云盘直链解析平台 支持多用户,支持永久直链,支持列目录

该程序仅限用于学习和研究目的,不得将其用于商业或者非法用途,否则,一切后果请用户自负,与作者无关!宝塔面板部署该程序的视频教程:https://one.blob.core.chinacloudapi....

使用CDN后如何让宝塔面板日志显示用户真实IP?

登录宝塔面板后台 >> 软件商店 >> 运行环境 >> 点击 nginx 右侧对应的“设置”>> 在 nginx 管理中点击左侧“配置修改”>&g...